Cómo proteger un proxy abierto (mod_proxy) para realizar una demostración del servicio

Question

Un cliente tiene un servicio que requiere que se agregue un poco de JavaScript a la página del cliente. Como herramienta de marketing para mostrar a los clientes potenciales, creé una aplicación web que demuestra cómo se vería la página del cliente con el javascript de mi cliente. ¡Es genial y al equipo de ventas le encanta!

La aplicación utiliza un proxy inverso (mod_proxy) para hacer que el sitio del cliente parezca estar en nuestro dominio, de modo que la aplicación pueda agregar javascript sin restricciones de secuencias de comandos entre sitios. Ahora está limitado a usuarios autorizados.

Esta configuración ha funcionado bien, ¡tal vez demasiado bien! Ahora el CEO quiere que esta herramienta esté disponible para cualquier persona desde su página de inicio. Pero como todos sabemos...

Los proxies inversos abiertos son casi universalmente malos.

¿Hay alguna manera de asegurar uno de tal manera que haga posible esta aplicación de demostración? Es decir, paralizarlo de manera que sea inútil para spammers y hackers, pero ¿lo suficientemente bueno como para mostrar algunas páginas de demostración a clientes potenciales?

Algunas ideas que he tenido

• Solo permita que se envíe por proxy una cantidad X de archivos por hora por dirección IP.
• Limitar a manejar solo solicitudes GET
• No configurar cookies
• Mantenga una lista negra de dominios que no sean proxy (servidores de anuncios de pago por clic)
• Inyecte advertencias en el contenido de la página ("Este no es el servidor XYZ") que luego se eliminan mediante el script de mi aplicación.

¿Alguna otra idea o es una tontería?

Answer 1

Quizás sea suficiente agregar una autenticación http a su host. De esta manera, su representante de ventas podría mostrar fácilmente la página de demostración a los clientes, pero debería ser inaccesible para todos los demás.

No olvides usar https para evitar que se caigan los oídos.